機械設計 #42：自動機のFAT/SAT — 「動けばよい」では受入れにならない

機械設計 #42：自動機のFAT/SAT — 「問題なく動いています」で受け入れない

機械が三十分動いた。大きなアラームは出ない。未完了の項目がいくつか「後で対応」と議事録に書かれる。両者がFATに署名する。

現地に着くと、エアの条件が違い、実際のワークにはばらつきがあり、前工程とのインターフェースは詰まっておらず、バックアップは実際に動いている版と一致しない。この段階で「FATは済んでいる」という言葉は、何が証明されたのかを何も示さない。

FATとSATは、儀式としての試運転ではない。合意した要求を、定められた条件のもとで満たしていることの証拠を作る関門である。

受入れの連なりはこうまとめられる。

要求 → 合否基準 → 試験方法 → 結果と証拠 → 逸脱 → 処置と再試験 → 引渡しベースライン

本稿は、自動機のFAT/SAT手順書を、追跡でき検証できる形で組み立てる考え方を示す。あらゆる機械、契約、市場に十分なチェックリストではない。電気の検証、機械のリスクアセスメント、安全の妥当性確認は、それぞれの規格、仕様、権限に従う。

1. FAT、FIT、SAT、SIT、コミッショニングを分ける

これらの呼び名は入れ替えて使われやすく、そこでスコープが失われる。

FAT — 工場受入試験

出荷前に製造者の工場で行う試験。工場の条件で証明できることを最大限に証明するのが目的である。

FATが扱う範囲は通常こうなる。

構成と文書。
組立と仕上がりの品質。
入出力、シーケンス、モード。
アラーム、復旧、段取り替え。
工場で模擬または測定できる性能。
バックアップ、復元、出荷ベースライン。

FIT — 工場統合試験

工場で接続できる範囲での、サブシステム間の統合に絞った試験。

PLCとロボット。
ビジョンとモーション。
機械コントローラとラインコントローラ。
HMI、ヒストリアン、ミドルウェア。
前後工程のシミュレータ。

単体では動くのに、システム間のハンドシェイクと責任範囲が証明されていないとき、FITが効いてくる。

SAT — 現地受入試験

輸送、据付、接続の後、使用する場所で行う試験。SATは据付後の状態の機械を、現地の条件で確認する。

SATで確認すべき項目は通常こうなる。

実際のユーティリティ。
基礎、レベル出し、環境。
電気、空圧、ネットワーク、現地設備との接続。
実際のワーク、実際の作業者、実際の作業の流れ。
周辺設備とのインターフェース。
合意した条件のもとでの性能と品質。
文書、教育、引渡し。

SIT — 現地統合試験

本物のシステムが現地にしかない場合の、現地での統合に絞った試験。

ラインとのハンドシェイク。
MESや生産システムとのデータ授受。
スコープに含まれるなら、複数の機械やセルにまたがる安全ゾーニング。
システムをまたぐ物流と復旧。

コミッショニング

コミッショニングは、システムを正しい運転状態へ持っていく過程である。据付の確認、設定、調整、機能試験、問題の処理を含む。コミッショニングの一部はSATの条件や証拠を作るが、二つは同じものではない。

2. 要求のトレーサビリティから始める

手順書をコミッショニング担当者の記憶から書くと、難しい要求や目に見えにくい要求が真っ先に落ちる。

試験の前にマトリクスを作る。

要求ID	要求	出典	関門	試験項目	証拠	状態
R-xxx	検証できる内容	仕様書、図面、リスクアセスメント	FAT / FIT / SAT / SIT / 妥当性確認	TC-xxx	ログ、測定、記録	未 / 合 / 否

このマトリクスが答えてくれること。

どの要求にまだ試験がないか。
ある試験はどの要求を証明しているのか。
現地でしか確認できない要求はどれか。
別立ての安全妥当性確認に属する要求はどれか。
仕様変更によって、既存の試験項目が無効にならないか。

すべての要求に個別の試験項目が要るわけではない。関係を書き残すなら、一つの試験が複数の要求を満たしてよい。ただし、重要な要求を「機械が動いたから」という理由で満たしたことにしてはならない。

3. 合否基準は測れるものでなければならない

弱い基準：

問題なく動いている。
外観はよい。
アラームは正常。
サイクルタイムは満足。
機種切替でエラーが出ない。

いずれも、条件、測り方、合否の境界を示していない。

よい基準はこう述べる。

どの対象か。
試験の条件。
方法またはデータ。
期待する値またはふるまい。
公差または評価の規則。
合意した仕様に基づく回数またはサンプル数。

構成の例：

指定した機種と荷重で、試験項目の前提条件からシーケンスを流す。結果は仕様書が参照する時間と品質の基準を満たし、未処置の逸脱を生じないこと。

本稿に例示の数値は載せない。タクト、精度、サンプル数、工程能力は、契約、技術要求、プロジェクトの妥当性確認計画から出るべきものだからである。

4. 試験項目に必要な欄

最低限、次を持たせる。

試験項目のIDと改訂。
関係する要求や出典。
目的。
関門と場所。
前提条件。
機械の構成ベースライン。
工具、試験データ、サンプルの識別。
実施者と、必要なら立会者。
試験手順。
合否基準。
実際の結果。
証拠の参照先。
合否。
逸脱ID。
再試験の要否。

測定器を使うなら、その状態と追跡性をプロジェクトの要求に合わせて管理する。ログや画面写真を使うなら、どの版の、いつの、どの文脈のものかが分かっていなければならない。

動いている機械の写真はサイクルタイムを証明しない。時刻のない動画や、試験項目に結び付いていない動画も、証拠としては弱い。

5. 前提条件は結果と同じくらい重要である

同じシーケンスでも、前提条件が違えば比較できない結果になる。

前提条件には次が入りうる。

ソフトウェアと設定の改訂。
モードと初期の機械状態。
機種またはレシピ。
ワークの種類と状態。
ユーティリティ。
温度や環境。
治具と段取り部品。
センサと校正の状態。
前後工程のシミュレータ。
利用者の役割とアクセス権。

前提条件を記録していなければ、合格した試験が「手で調整した状態でだけ成立する」ものかもしれず、再起動や段取り替えの後に再現しない。

6. FATで確認すべきこと

FATは、機械がまだ製造者の手元にあるうちに問題を直せる機会である。よく練習したデモのシーケンスだけに時間を使わない。

構成ベースライン

ハードウェアと部品表の改訂。
図面と回路図の改訂。
PLC、HMI、ロボット、ビジョンのソフトウェア改訂。
パラメーターとレシピのベースライン。
バックアップ一式と復元の手順。
スコープに含まれるライセンスや依存関係の一覧。

パスワード、PLCのアドレス、ネットワーク構成を、広く配る議事録に載せない。取扱いに注意すべきアクセス情報は、管理された別の経路で引き渡す。

組立と検査

機械部分、カバー、防護、作業空間。
ケーブルとホースの取り回し。
仕様どおりの識別と表示。
必要な箇所の締結・調整の合いマーク。
保全の作業空間と交換のしやすさ。
清浄度と仕上がりの品質。

機能とシーケンス

スコープの範囲での自動、手動、段取り、保全の各モード。
起動、停止、一時停止、再開。
通常のシーケンス。
空運転と、ワークを載せた運転。
機種の切替。
中断後の再起動と復旧。

診断

アラームの表示文。
第一報の条件。
そのときの状態の記録。
確認、条件解除、リセット。
履歴と記録。
権限に応じたアクセス（ある場合）。

代表的な異常

試験計画の中で、管理された形で行う。

フィードバックの欠落や不正。
代表的なタイムアウト。
機種や段取り部品の不一致。
承認したシナリオに基づくユーティリティの喪失。
適切なインターフェースでの通信断。

異常の注入は思いつきで行うものではなく、時間短縮のために安全装置を無効にして行うものでもない。

予備的な性能

サイクルのふるまい。
繰返し精度。
出来ばえの品質。
温度上昇や連続運転でのふるまい。
要求があるなら段取り替え時間。

FATの性能値は、記録した工場条件のもとでのみ意味を持つ。実際のユーティリティ、実際のワーク、実際のシステムで行うSATの代わりには自動的にならない。

7. FATでは証明できないこと

よいFATは、自らの限界も書き残す。

たとえば：

現地の実際の電圧、エア、ユーティリティ。
現地の基礎と振動。
ネットワークの方針や現地のインフラ。
本物のMESやラインコントローラ。
まだ存在しない前後工程の設備。
ばらつきを含む量産のワーク。
作業者の体制と材料の物流。
実際の熱、粉じん、照明、電気的ノイズ。
生産計画に沿った長時間運転での性能。

証明できなかった項目は、SAT、SIT、量産試作、別の妥当性確認へ振り分ける。担当者も関門もないまま「後で確認する」状態に置かない。

8. 出荷前に引渡しベースラインを閉じる

FATの後にはたいてい手直しがある。ベースラインを閉じないと、出荷される機械が試験した機械と違うものになりうる。

ベースラインに含めるもの：

ソフトウェアと設定の版数。
最後の変更の後に取ったバックアップ。
ハッシュなど、完全性を確認できる手段。
図面、部品表、取扱説明書の改訂。
パラメーターとレシピのリリース。
未処置の逸脱。
承認された暫定処置。
再試験の結果。
梱包と出荷の状態。

FATの後、出荷の前に手を入れる場合：

変更を記録する。
影響を評価する。
回帰試験・再試験の範囲を決める。
証拠を更新する。
ベースラインを作り直す。

「一行だけ直した」は、再試験を省いてよい理由には自動的にならない。

9. SATは据付後の状態から始める

量産の試験を流す前に、輸送と据付の後の機械を確認する。

損傷や動いた跡。
レベル出し、アンカー、心出し。
防護、作業空間、すきま。
ユーティリティと接続。
該当する場合は回転方向と相順。
ケーブル、ホース、現地側インターフェース。
環境条件。
実際に動いているバックアップと設定。
FATから持ち越した項目。

機械のベースラインと現地の条件が正しいか分からないうちに、自動運転のボタンを押してSATを始めない。

10. 現地の性能には合意した条件が要る

サイクルタイムや品質は、双方が次を合意して初めて意味を持つ。

製品・機種の構成。
材料の状態。
サンプル数または時間。
除外する時間と含める時間。
作業者の操作。
前後工程の稼働可否。
手直しと再試行の規則。
品質の測定方法。
停止の分類。

一時間の運転に材料切れによる停止が含まれているなら、総出来高だけでサイクル性能を論じることはできない。データをどう分類し、どう扱うかを手順書で先に決めておく。

結果を見てから基準を選び直さない。

11. FITとSITは責任範囲の不具合が現れる場所である

統合の不具合は、一つのサブシステムの中だけで完結することがまれである。

要求を出すのは誰か。
状態を保持するのは誰か。
そのタイムアウトはどちらのものか。
再送は動作を二重に起こさないか。
通信が切れたとき、それぞれどの状態へ行くのか。
再接続したとき、状態はどう取り直すのか。
元のアラームはどこに表示されるのか。

FITとSITでは、正常なハンドシェイクと、代表的な異常のシーケンスの両方を試す。証拠には次が使える。

状態とシーケンスの記録。
時刻の付いたインターフェースのログ。
アラーム履歴。
復旧の結果。
インターフェース両端の版数。

取扱いに注意すべきタグ、アドレス、構成は、広く配る文書に載せない。

12. 安全の妥当性確認は、FATの一行ではない

「安全：OK」という記載は、指定した安全機能が妥当性確認されたことを証明しない。

安全の妥当性確認は自らの経路をたどる。

リスクアセスメント。
安全要求と仕様。
それに対応するアーキテクチャと計算。
分析と試験の手順。
適用する規格。該当するならISO 13849-2など。
実施とレビューを行う権限のある人。
追跡できる記録と結果。

その一部はFATやSATで立会いのもと実施されることもあるが、安全妥当性確認の記録は独自のスコープ、方法、証拠を保つ。FATの署名は、リスク低減の検証や妥当性確認の代わりにはならない。

電気の検証も同じで、適用する設計と規格、たとえばIEC 60204-1に従う。「電気OK」の一行に圧縮してよいものではない。

13. 逸脱の管理：「合格、ただし注記」を放置しない

逸脱ごとに次を持たせる。

ID。
関係する試験または要求。
実際と期待の差の記述。
安全、品質、性能、保全性、日程への影響。
担当者。
期限。
処置。
認められる場合の暫定管理。
再試験の範囲。
完了の証拠。

処置は一様ではない。

試験を続ける前に直す。
承認された変更として受け入れる。
条件を明示してSATへ送る。
不合格とする。

すべての逸脱が出荷を止めるわけではないが、判断は透明で、権限のある人が行わなければならない。次の一手を誰も持たないなら、「合格、ただし注記」は処置ではない。

14. 再試験は影響の広さで決める

修正した後は次を見る。

その不具合そのものを再試験する。
同じ部品やロジックを使う機能を見る。
前後工程のインターフェースを見る。
アラームと復旧を見る。
他のモードを見る。
一度合格したが、今回変えた部分に依存する要求を見る。

たとえば、うるさいアラームを止めるためにタイムアウトを変えると、サイクルタイム、異常検出、復旧に影響しうる。そのアラーム一行だけを再試験しても足りない。

影響のマトリクスがあれば、機械全体をやり直すことも、狭すぎる範囲で済ませることもなく、回帰の範囲を選べる。

15. 限度見本と試験データにも改訂が要る

識別のない限度見本は、入れ替わっても、摩耗しても、手直しされても誰も気づかない。

管理すべきもの：

見本のID。
改訂または機種。
試験に使う特性。
状態と保管方法。
確認した日付と担当者。
いつ交換または再認定するか。

試験データ、画像セット、レシピ、シミュレータも同じである。FATの後にデータセットが変われば、以前の結果はもう自動的に同等ではない。

16. 引渡しはUSBを渡すことではない

引渡しに含めうるもの：

リリースしたソフトウェアと設定のバックアップ。
復元と復旧の手順。
図面、部品表、取扱説明書。
パラメーターとレシピの管理方法。
アラーム一覧と、故障探究の道筋。
アクセス権に応じたリスクアセスメントと妥当性確認の記録。
FAT、SAT、逸脱、再試験の記録。
予備品と摩耗部品の一覧。
保全計画。
教育の記録。
既知の制限と未完了項目。
支援と連絡の窓口。

認証情報、鍵、アクセス情報は安全な経路で渡す。公開文書や広く共有されるフォルダには置かない。

もっとも重要なのは、引き渡したファイルが機械で実際に動いているベースラインだと示せる手段を、持ち主が持っていることである。

17. FAT/SAT手順書のチェックリスト

重要な要求すべてに関門と、試験または証拠の経路があるか。
FAT、FIT、SAT、SIT、安全妥当性確認のスコープが分かれているか。
合否基準は測れるか。
試験項目に前提条件とベースラインがあるか。
工具、サンプル、試験データに適切な識別と改訂があるか。
合格のチェックだけでなく、実際の結果が記録されているか。
証拠が試験項目まで追えるか。
FATで証明できなかったことが、後の関門へ振り分けられているか。
FAT後の変更に影響評価と再試験があるか。
逸脱に担当者、期限、処置、完了の証拠があるか。
SATが性能より先に据付後の状態を確認しているか。
現地の性能に、機種・材料・時間・データの規則が合意されているか。
安全と電気の検証が、適用規格に沿った独自の記録を持っているか。
バックアップ、設定、図面のベースラインが出荷した機械と一致しているか。
引渡しに復元の方法、未完了項目、適切なアクセス権が含まれているか。

まとめ

よいFATとSATは、一回の立会いですべてを証明しようとしない。次の六つをはっきりさせる。

いまどの要求を試験しているのか。
それを試験できる条件を備えた関門はどこか。
合否はどの基準で決めるのか。
どの証拠を残すのか。
逸脱は誰が処理し、どう再試験するのか。
実際に引き渡されるベースラインはどれか。

要求、試験項目、証拠、逸脱、ベースラインが一本の追跡できる連なりになったとき、「問題なく動いています」は受入れの基準ではなくなる。代わりに残るのは、製造者と持ち主の双方が、運転、保全、変更管理に長く使える証拠の束である。

公開参考資料

IEC 62381:2024 — FAT, FIT, SAT and SIT for automation systems: https://webstore.iec.ch/en/publication/67572
IEC 60204-1:2016 + AMD1:2021 — Electrical equipment of machines: https://webstore.iec.ch/en/publication/26037
ISO 12100:2010 — Machinery risk assessment and risk reduction: https://www.iso.org/standard/51528.html
ISO 13849-2:2012 — Validation of safety-related parts of control systems: https://www.iso.org/standard/53640.html

MINATAの技術記事をすべて見る